go jwt需在http网关层解析authorization头、验签并透传至grpc：提取token后用metadata.pairs("authorization", "bearer "+token)注入context，服务端用metadata.fromincomingcontext读取；算法与密钥类型必须匹配，校验应放在网关中间件而非grpc拦截器，redis黑名单仅存jti并设合理ttl。
Go JWT token怎么从HTTP请求透传到gRPC服务
HTTP网关层解析完Authorization头里的JWT后，不能直接丢给gRPC后端——gRPC默认不走HTTP头，得手动塞进metadata.MD里，否则下游收不到用户身份。
常见错误是直接把原始token字符串塞进context，但gRPC的拦截器只认metadata；或者漏了md.Append("authorization", "Bearer "+token)里的Bearer 前缀，导致下游解析失败。
- 网关侧用
grpc.WithUnaryInterceptor或grpc.WithStreamInterceptor包装客户端连接 - 在拦截器里读
r.Header.Get("Authorization")，提取token（去掉Bearer） - 调用前构造
metadata.Pairs("authorization", "Bearer "+token)，再用metadata.NewOutgoingContext注入 - 注意：gRPC服务端必须用
metadata.FromIncomingContext读，不是FromOutgoingContext
为什么gRPC服务端用jwt.ParseWithClaims总报square/go-jose: error in cryptographic primitive
这通常不是密钥问题，而是JWT签名算法和解析时指定的SigningMethod不匹配。比如前端用HS256签发，但服务端代码写了jwt.SigningMethodRS256，就会触发这个底层加密库报错。
另一个高频坑是密钥类型没对上：HS256要传[]byte，RS256必须传*rsa.PrivateKey或*rsa.PublicKey，混用会panic。
立即学习“go语言免费学习笔记（深入）”；
- 先用
jwt.ParseUnverified粗略看Header.Alg确认实际算法 - 检查
jwt.ParseWithClaims第三个参数返回的jwt.Keyfunc是否返回了正确类型的密钥 - 如果用
github.com/golang-jwt/jwt/v5，注意SigningMethodHS256.KeyFunc返回值必须是interface{}，且内容是[]byte - 别在
Keyfunc里硬编码密钥——线上环境密钥可能轮换，应根据token.Header["kid"]动态加载
API网关里JWT校验该放中间件还是gRPC拦截器
必须放在网关HTTP中间件，不能依赖gRPC拦截器做主认证。因为gRPC拦截器只管RPC链路，绕过网关直连gRPC端口的请求就完全跳过了校验。
更关键的是性能：JWT解析、验签、查黑名单都是CPU密集操作，放在gRPC层意味着每个RPC调用都重复执行，而网关层可以统一做一次，再透传user_id、roles等字段到下游，减少重复开销。
- 网关中间件负责：解析
Authorization、验签、验证exp/nbf、查redis黑名单 - 透传时建议用
metadata.Pairs("x-user-id", uid, "x-roles", strings.Join(roles, ","))，避免下游再解JWT - gRPC拦截器只做轻量级鉴权，比如检查
x-user-id是否存在、x-roles是否含所需权限，不重复验签 - 如果网关和gRPC服务部署在同一进程（如go-micro），仍要保持分层——认证逻辑只写一次，在HTTP入口处执行
Go里JWT过期时间怎么跟Redis黑名单联动
单纯靠exp字段无法实现主动登出，必须配合Redis存储短期黑名单。但别存整个JWT——体积大、查询慢，只存token jti（唯一标识）+ exp时间戳即可。
容易被忽略的是时间精度：如果Redis里存的jti TTL设为exp - time.Now()，但系统时钟有偏差，或JWT生成时用了不同NTP源，会导致提前误判失效。
- Redis键名建议用
"jwt:blacklist:" + jti，TTL设为exp.Unix() - time.Now().Unix() + 60（多留1分钟缓冲） - 网关中间件在校验完
exp后，再查redis.Exists(ctx, "jwt:blacklist:"+jti) - 登出接口只需
redis.SetEX(ctx, "jwt:blacklist:"+jti, "1", time.Until(expTime))，不用删原token - 注意：
jti必须由服务端生成并写入JWT，不能依赖前端传——防止伪造
事情说清了就结束
